La Ley 21.719 reemplaza a la vieja Ley 19.628 y crea la Agencia de Protección de Datos Personales. Desde su entrada en vigencia, tu empresa no sólo tiene que tratar bien los datos: tiene que poder probar cómo los trata. Nosotros hacemos ese trabajo contigo — inventario, documentos, registros, accesos y protocolos — y te dejamos el respaldo por escrito para el día en que alguien lo pida: tu directorio, un cliente grande, una auditoría o la propia Agencia.
Multas de hasta 20.000 UTM y, en caso de reincidencia, hasta 4% de los ingresos anuales o la multa triplicada, lo que resulte mayor. Y aunque la ley se postergue —hoy la fecha vigente es el 1 de diciembre de 2026 y hay un proyecto en el Senado para llevarla al 1 de diciembre de 2027—, el trabajo que hay que hacer es el mismo.
Una empresa que maneja datos de clientes, pacientes, alumnos o colaboradores y no puede explicar dónde están, quién los vio y qué hace con ellos no arriesga sólo una multa: arriesga el contrato, la licitación y la confianza de quien le entregó esos datos.
Contratos con clientes grandes · auditorías · acreditaciones · convenios · continuidad del negocio.
La Ley 21.719 modifica la Ley 19.628 y establece un marco completo para el tratamiento de datos personales en Chile, alineado con el estándar europeo: principios explícitos, derechos exigibles para las personas y una autoridad con facultades reales para fiscalizar y sancionar.
El responsable debe poder acreditar cómo recopila, usa, almacena y protege los datos personales: qué datos trata, con qué finalidad, con qué base de licitud y por cuánto tiempo. Eso se traduce en piezas concretas — registro de actividades de tratamiento, política de tratamiento, contratos con proveedores — y no en una declaración de intenciones.
Se mantienen acceso, rectificación, supresión y oposición, y se suman portabilidad y bloqueo. Las solicitudes se responden en 30 días corridos, prorrogables por otros 30, y de forma gratuita. Si nadie en la empresa tiene asignada esa tarea, el plazo se incumple solo.
Investiga de oficio o por reclamo, puede multar, ordenar la suspensión del tratamiento y llevar un Registro Nacional de Sanciones y Cumplimiento de acceso público. Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 20.000 UTM.
La ley no exige un software específico ni un checklist único: exige medidas técnicas y organizativas proporcionales al riesgo, trazabilidad de los accesos y capacidad de notificar una vulneración sin dilación indebida. Es una obligación de operación, no de carpeta.
Hoy los datos personales circulan entre sistemas, correos, planillas, dispositivos, nubes y plataformas colaborativas. La pregunta ya no es sólo qué datos tienes, sino quién accede, cómo se usan y cómo evitas que salgan sin control. Trabajamos sobre las tres palancas que cubren ese recorrido.
Saber qué datos personales tratas, para qué y con qué base de licitud, y por cuánto tiempo los conservas. Es la base de todo lo demás: sin inventario, ningún documento se sostiene.
Quién puede ver qué información, desde dónde y con qué permiso, y qué pasa cuando el dato sale de tu organización: proveedores, marketing, traslado de reportes o trabajo remoto.
La mitad incómoda del cumplimiento: poder responder una solicitud de un titular dentro de plazo, actuar si hay una vulneración y dejar registro de lo que se hizo. Sin esto, el resto no se puede acreditar.
Tres frentes que conviene tener claros antes de avanzar. Cada uno define por dónde empezar y qué parte del trabajo priorizar.
Inventario de datos personales, finalidad de cada tratamiento, base de licitud y plazos de conservación. Es lo que la ley pide poder mostrar primero.
Lo resuelve → Diagnóstico y registro de actividades de tratamiento.
Permisos por rol, entornos controlados, seudonimización de datos sensibles y contratos con los proveedores que tratan datos por ti.
Lo resuelve → Control de accesos, nube privada y anexo de encargados.
Procedimiento para solicitudes de titulares, protocolo de vulneraciones, capacitación del equipo y evidencia ordenada para una fiscalización.
Lo resuelve → Protocolos y Cumplimiento Continuo.
Cada servicio tiene un alcance definido y se puede tomar por separado. Si con el diagnóstico te basta para avanzar por tu cuenta, ahí termina —lo decimos por escrito.
Levantamos qué datos personales tratas, dónde están, quién accede y qué está documentado hoy. Cada brecha queda con la cita del artículo que la respalda, no con una opinión.
Para: cualquier organización que necesite saber dónde está parada antes de invertir. Toma de una a tres semanas según tamaño.
La adecuación de una pyme con datos de personas adultas, en formato producto: las diez piezas documentales que la ley pide, personalizadas con tus respuestas y explicadas paso a paso.
Colegios y jardines infantiles tratan datos de niños, niñas y adolescentes, con reglas especiales de consentimiento y resguardo. Es la misma metodología, adaptada a la matriz de riesgos de un establecimiento.
Para fundaciones, corporaciones, residencias, programas de acogida, clubes y organizaciones deportivas que tratan datos de menores y no son establecimientos educacionales. La ley les pone una obligación especial y les exige poder demostrarla.
El cumplimiento no termina cuando entregan los documentos: cambian los procesos, entran proveedores nuevos y la ley se sigue interpretando. Acompañamos el programa de cumplimiento mes a mes.
Aclaración importante: no asumimos el rol de delegado de protección de datos de tu organización — el reglamento exige que el delegado sea independiente de quienes operan los sistemas que supervisa, y nosotros los operamos. El delegado lo designas tú; nosotros dejamos el programa funcionando.
Cuando un dato sensible no necesita viajar con nombre, lo separamos: una bóveda de tokens reemplaza la identidad y sólo quien tiene la llave puede volver al dato original. Y los archivos de la empresa dejan de vivir en dispositivos personales.
Un asistente automatizado es un canal de tratamiento de datos más, y la ley le pide lo mismo: informar al titular, declarar destinatarios y transferencias, y retener sólo lo necesario. Dejamos esos asistentes documentados dentro del programa.
El mejor documento no sirve si el equipo sigue mandando planillas con datos de clientes por correo. La ley también obliga a capacitación continua de quienes tratan datos.
No publicamos precios de lista: cada alcance se dimensiona sobre lo que tu organización tiene y sobre lo que ya está documentado. De la primera conversación sale un alcance claro, con etapas, prioridades y valor, y tú decides hasta dónde avanzar.
Plazos de referencia: el diagnóstico, de una a tres semanas; el pack estándar de pyme, entre dos y cuatro semanas; un programa institucional con varios procesos, entre dos y tres meses por fases — primero lo que más riesgo reduce.
Marca las afirmaciones que hoy puedes sostener con un documento o un registro. No es una evaluación legal: es la foto rápida de por dónde conviene empezar.
Marca las que apliquen y te decimos por dónde empezar.
Cuando operamos sistemas donde viven tus datos, lo hacemos como encargado del tratamiento: contrato por escrito, tus instrucciones, prohibición de usar los datos para fines propios, y devolución o supresión al término del encargo.
Administramos entornos con datos personales y de salud: accesos segmentados, respaldos, retención y trazabilidad. Sabemos lo que es sostener un sistema que no puede fallar, y no lo aprendemos a costa de tu organización.
El mismo equipo que adecúa pymes y establecimientos educacionales a la 21.719 implementa la capa técnica: asistentes con IA, nube privada y seudonimización, con la documentación que la ley pide.
Si lo que buscas es el documento más barato del mercado, con honestidad te decimos que no somos eso. Si buscas a alguien que se haga cargo cuando algo pasa, que responda a tu directorio, a un cliente grande o a una fiscalización, y que deje todo por escrito, entonces conversemos.
El Ejecutivo ingresó al Senado un proyecto de ley —Boletín 18.623-07— para postergar la entrada en vigencia del 1 de diciembre de 2026 al 1 de diciembre de 2027. Aprobado no está: hoy la fecha vigente sigue siendo el 1 de diciembre de 2026. Si se aprueba, la obligación no desaparece: se corre un año, y hay que usarlo, porque adecuar una organización con varios procesos toma meses.
Aplica a todo responsable de datos, sin distinguir tamaño ni personalidad jurídica. Lo que cambia con el tamaño es la proporcionalidad de las medidas: la ley pide medidas «adecuadas al riesgo», no una lista única para todos. En micro, pequeña y mediana empresa, además, el delegado de protección de datos puede ser el propio dueño o administrador.
Tres cosas, en orden de probabilidad: el riesgo de un incidente con datos personales que no puedas demostrar cómo fue manejado; la observación en una auditoría, una licitación o una revisión de proveedores; y, con la ley vigente, las multas de la Agencia, que llegan a 20.000 UTM y, en reincidencia, al 4% de los ingresos anuales.
El pack estándar de pyme, entre dos y cuatro semanas. Un programa institucional con varios procesos, entre dos y tres meses, por fases. No publicamos precios de lista porque el alcance depende de cuánto tengas ya documentado: de una consulta de 30 minutos sale un alcance con etapas y valor, sin compromiso de continuar.
En micro, pequeña y mediana empresa el delegado puede ser el propio dueño o administrador, y la ley lo permite expresamente. Los órganos públicos y las empresas grandes sí deben designar uno con dedicación real. Ojo con la independencia: el delegado no puede supervisar sistemas que él mismo opera — por eso nosotros no podemos ser el delegado de un cliente cuyos sistemas administramos.
No. Trabajamos sobre lo que ya usas —correo, Drive, sistemas de gestión, CRM— y no movemos tu información para hacer este trabajo. Si detectamos algo que conviene cambiar, te lo proponemos con el costo y el efecto a la vista, y la decisión es tuya.
Sí. Colegios y jardines infantiles van por Cumple Aula; fundaciones, residencias, clubes y otras instituciones que tratan datos de menores, por la línea de protección de datos de NNA; pymes con datos de personas adultas, por Cumple Pyme. Clínicas y centros de salud requieren además tratamiento de datos sensibles, que abordamos con seudonimización cuando el dato no necesita viajar con nombre.
Operamos desde Chile de forma remota en todo el país y en Latinoamérica. Si tu organización trata datos de personas en Chile, la ley aplica igual; si además tu matriz está en otro país, la transferencia internacional de datos se documenta en el anexo del contrato.
Revisamos qué datos personales tratas, dónde están y qué puedes demostrar hoy. De esa conversación sale un diagnóstico honesto: si no hace falta un programa completo, te lo decimos.
MenteGlobal SpA · Santiago de Chile · Actualizado en octubre de 2026.
